30 червня 2023 року сталася одна з найвитонченіших атак на децентралізоване управління в історії криптовалют. Зловмисник, використовуючи вразливість у механізмі голосування DAO, зумів вивести з казни проєкту BONK токени на суму $21,2 млн. При цьому його власні витрати на підготовку операції склали лише $4,4 млн, а чистий прибуток — $16,8 млн.
Як було побудовано атаку
За два дні до атаки хакер придбав 882 млрд токенів BONK на біржах Bybit та Binance, витративши $4,4 млн. Цього обсягу виявилося достатньо, щоб перевищити необхідний для схвалення пропозиції кворум у 879 млрд BONK. Потім зловмисник подав до DAO пропозицію про переказ 4,426 трлн BONK ($21,2 млн) на підконтрольний йому гаманець 9bxW…JHvQ і проголосував «за» всім своїм обсягом.
Оскільки система управління проєктом прив'язана до кількості токенів на гаманці, пропозицію було автоматично схвалено. Кошти миттєво перемістилися на адресу атакуючого.
Поточний стан вкрадених коштів
На момент аналізу частина активів уже змінила адресу. З 4,426 трлн BONK:
- 40 млрд BONK ($188 тис.) було переведено на біржу OKX;
- 4,386 трлн BONK ($19,3 млн) залишаються на гаманці EXaJnm…eh42.
Схоже, хакер не поспішає виводити решту коштів. Можливо, він вичікує більш сприятливої ринкової кон'юнктури або готує наступний крок.
Корінь проблеми — в управлінні, а не в коді
Учасники криптоспільноти справедливо зазначили, що цього разу проблема криється не у вразливості смарт-контрактів, а в архітектурі управління проєктом. Сам код залишався надійним, але механізм голосування, де кожен токен дає право голосу, дозволив зловмиснику сконцентрувати достатню силу для маніпуляції.
Цей інцидент — серйозний сигнал для всіх проєктів, які використовують DAO. Управління на основі токенів без додаткових механізмів захисту (наприклад, тимчасових затримок або багаторівневого схвалення) залишається однією з найслабших точок в екосистемі DeFi.
Думка експерта: Ця атака демонструє фундаментальну проблему багатьох DAO — концентрацію влади в руках великих власників токенів. Поки проєкти не впровадять складніші системи управління, такі як делеговане голосування або квадратичне голосування, подібні інциденти повторюватимуться. BONK пощастило, що збитки обмежилися $16,8 млн — могло бути набагато гірше.